这是我参与「第五届青训营」伴学笔记创作活动的第 20 天

跨站脚本攻击（XSS）

在一个开发维护的页面中，攻击者通过一种方式将他的恶意脚本注入其中，用户访问页面时，这些恶意脚本就会被执行，从而造成攻击。
后果：用户隐私泄露，或用户机器变成挖矿机器

XSS主要利用了

“盲目信任用户的提交内容”
将用户提交的字符串装化成了 DOM

document.write

element.innerHTML = anyString;

SSR(user_data) //伪代码

XSS的特点

通常难以从 UI 上感知（暗地执行脚本）
窃取用户信息（cookie/token）
绘制 UI（例如弹窗），诱骗用户点击/填写表单

Stored XSS

恶意脚本已被存在数据库中
访问页面 → 读数据 === 被攻击
危害最大，对全部用户可见

Reflected XSS

不涉及数据库
从 URL 上攻击

DOM-based XSS

不需要服务器的参与
恶意攻击的发起 + 执行，全在浏览器完成

Reflected VS DOM-based

🕊️完成脚本注入的地方🕊️
Reflected 恶意脚本在服务端进行注入
DOM-based 的 XSS 攻击完全由浏览器来进行整个闭环

Mutation-based XSS

利用了浏览器渲染 DOM 的特性（独特优化）
不同浏览器，会有区别（按浏览器进行攻击）

跨站伪造请求（CSRF）

CSRF的特点

在用户不知情的情况下
利用用户权限（cookie）
构造指定 HTTP 请求，窃取或修改用户敏感信息

demo

用户没有访问银行页面
银行页面中的特定接口被请求
请求执行成功

GET

一个<a>标签，用户只要一点击就可以完成一次攻击

<a href="https://dianwosb.com/transfer?to=hacker&amount=100">澳门老虎机</a>
复制代码

构造一个<img>标签，图片一被加载，就会完成一次 CSRF 攻击

<img src="https://baaan.com/transfer?to=hacker&amount=100" />

SQL Injection

请求
    SQL参数（恶意注入）
↓
SERVER
    参数 → SQL
    运行 SQL code
↓
获取其他数据
    修改数据
    删除数据
    ...

demo
① 读取请求字段
② 直接以字符串的形式拼接 SQL 语句

public async renderForm(ctx) {
    const {username, form_id} = ctx.query;
    const result = await sql.query(`
        SELECT a, b, c FROM table
        WHERE username = ${username}
        AND form_id = ${form_id}
    `);
    ctx.body = renderForm(result);

服务拒绝（Dos)

通过某种方式（构造特定请求），导致服务器资源被显著消耗，来不及响应更多请求，导致请求挤压，进而雪崩效应。

正则表达式 ———— 贪婪模式

重复匹配时 ⌜?⌟ vs ⌜no ?⌟ : 满足“一个”即可 vs 尽量多

const greedyRegExp = /a+/;   有多少匹配多少
const noGreedyRegExp = /a+?/;  有一个就行
const str = "aaaaaa";
console.log(str,math(greedyRegExp))[0]);   //"aaaaaa"
console.log(str,math(noGreedyRegExp))[0]);  //"a"

ReDos：基于正则表达式的 Dos

贪婪：n 次不行？ n - 1 次再试试？ ————回溯

响应时间⬆️⬆️
接口吞吐量⬇️⬇️

Distributed Dos（DDos）

短时间内，来自大量僵尸设备的请求流量，服务器不能及时完成全部请求，导致请求堆积，进而雪崩效应，无法响应新请求。

Logical Dos

耗时的同时操作
数据库写入
SQL join
文件备份
循环执行逻辑

中间人攻击

基于传输层的攻击方式

在浏览器和服务器中间插一个，浏览器觉得自己在和服务器进行交互，服务器觉得自己在给浏览器传回数据，而实际上都是在和中间人进行沟通。

中间人可以：窃取信息，修改请求、返回结果

存在原因

明文传输
信息篡改不可知
对方身份未验证

[ WEB开发安全 | 青训营笔记 ]